S75E IPS插卡病毒防护典型配置案例

S75E IPS 插卡病毒防护典型配置案例
杭州华三通信技术有限公司
起 草 人：余磊石 起 草 日 期: 2012-10-22


技术文档报告
文档信息
文 文 文 当 创 档 档 档 前 建 名 编 类 版 日 称 号 别 本 期 技术文档 ■ 培训文档 □ 1.0 2012-10-22 工程文档 □ 服务文档 □ 项目文档 □ 其他 □ 运维文档 □ S75E IPS 插卡病毒防护典型配置案例
文档主送部门 文 联 档 系 作 方 者 式 余磊石 etr_yuleishi@
H3C机密，未经许可，请勿传播
第2页, 共13页


技术文档报告
尊敬的深圳移动用户各位领导、技术负责人： 您好！ 首先感谢贵公司对华三公司长期以来的大力支持和帮助，贵公司提出的每一个问题和需求，对华 三公司的产品和服务提升都是一个很好的建议，华三公司一直都认真对待并努力解决。

贵公司要求的 关于IPS病毒防护配置技术文档，经过相关技术人员整理，情况如下，敬请审核。

1. 【产品介绍】
H3C SecPath IPS插卡式产品采用H3C公司最新的硬件平台和体系架构，支持分布式部署和集中管 理，可灵活扩展。

通过基于浏览器的管理界面，管理员可以快速熟悉系统的操作管理。

H3C SecBlade IPS插卡，可以和S7500E系列/S9500系列高端交换机配合使用，可以在已使用该高端交换机的用户网 络中方便部署，满足对流量运营管理的需要。

2. 【主要特点】
 将主网络设备的转发和业务处理有机融合在一起，在实现主网络设备高性能数据转发的同
时，能够根据组网的特点处理安全业务，实现安全防护和监控。

 SecBlade IPS 插卡基于H3C 公司领先的OAA（Open ApplicationArchitecture）架构开发，
通过内部的高速10G 以太接口与主网络设备相连，H3C 主网络设备的后插卡具有的线速转发能力， 更保证了与业务插卡间通畅的数据转发。

 secBlade IPS 插卡采用了专用多核高性能处理器和高速存储器，在高速处理安全业务的同
时，主网络设备的原有业务处理不会受到任何影响。

 SecBlade IPS 插卡可以插在主网络设备上的多个槽位，并且在一台网络设备上可插入多块
插卡进行性能扩展，轻松适应不断升级的企业和电信运营商网络
H3C机密，未经许可，请勿传播
第3页, 共13页


技术文档报告
3. 【配置步骤】 3.1 组网图
PC（服务 器）
S7500E
PC（客户端）
IPS插卡
本案例以一台 PC 做为 FTP 服务器， 一台 PC 作为 FTP 客户端， FTP 服务器上放置病毒包， S7500E 在 在 与 IPS 插卡上作 IPS 病毒防护功能配置，以验证 IPS 插卡的防病毒功能。

FTP 服务器 IP 地址：192.168.1.4 FTP 客户端 IP 地址：192.168.1.5
3.2 相关配置
S7500E 主控板相关配置 #二层转发基本配置 vlan 5 quit interface vlan 5 ip address 192.168.1.2 255.255.255.0 #ACL 配置 acl number 2030 description For SNMP rule 5 permit source 120.197.82.196 0
H3C机密，未经许可，请勿传播 第4页, 共13页


技术文档报告
rule 500 deny #S7500E 主控上 OAA 相关配置 # 使能ACFP server和ACSEI server功能。

acfp server enable acsei server enable # 配置交换机主控板的流量转发模式为enhanced（主控板流量转发模式配置完毕后需保存配置 并重启整个交换机，所做配置才会整机生效。

） switch-mode l2-enhanced # 配置内联接口所属VLAN（此VLAN 100只为OAA管理用，对流量转发不起作用） interface VLAN-interface100 ip address 100.100.100.1 255.255.255.0 # 配置内联接口 interface Ten-GigabitEthernet5/0/1 port link-type trunk port trunk permit VLAN all port trunk pvid VLAN 100 port connection-mode extend # 配置 SNMP 参数 snmp-agent snmp-agent local-engineid 800063A203C4CAD92E56EC snmp-agent community read public acl 2030 snmp-agent community write private acl 2030 snmp-agent community read IDC-NE40E snmp-agent sys-info version v2c v3 snmp-agent group v3 v3group_no read-view iso write-view iso snmp-agent target-host trap address udp-domain 120.197.82.219 udp-port 514 params securityname IDC-NE40E v2c
H3C机密，未经许可，请勿传播
第5页, 共13页


技术文档报告
snmp-agent mib-view included iso iso snmp-agent usm-user v3 v3user_no v3group_no 插卡上的配置 用户名：admin 密码： admin IPS 设备管理口的 IP 地址：192.168.1.1/24 （1） 用以太网线将 PC 的网口与 IPS 设备的管理口相连 （2） 为 PC 的网口配置 IP 地址，保证与 IPS 设备的管理口互通（比如 192.168.1.2/24） （3） 在 PC 上启动 IE 浏览器（建议使用 Microsoft Internet Explorer 6.0 SP2 及以上版本）输 入 IPS 设备管理口的 IP 地址，结果如下：
H3C机密，未经许可，请勿传播
第6页, 共13页


技术文档报告
网管首页如下图
在导航栏中选择“系统管理>网络管理>安全区域”，进入“安全区域显示”页面
单击<创建安全区域>按钮，进入“创建安全区域”的配置页面
H3C机密，未经许可，请勿传播
第7页, 共13页


技术文档报告
分别将 Gigabitethernet7/0/25 加入内部域 LAN，Gigabitethernet7/0/25 加入外部域 WAN 中 此两个接口在可选接口中。

配置完成后如下图：
在导航栏中选择“系统管理>网络管理>段配置
H3C机密，未经许可，请勿传播
第8页, 共13页


技术文档报告
单击<新建段>按钮，进入“新建段”的配置页面，创建一个段（这里为段 0） ，将内网和外网链路连通， 文章后面再在此链路上配置 AV 段策略
上图与前面配置相对应 内部域：LAN 外部域：WAN 接口：Gigabitethernet7/0/25 与 Gigabitethernet7/0/26 新建段成功，如下图：
在导航栏中选择“防病毒>段策略管理”，进入“段的显示
H3C机密，未经许可，请勿传播
第9页, 共13页


技术文档报告
点击“创建策略应用”按钮，进入“策略应用”， 选择缺省的 AV 策略：Anti-Virus Policy，方向 选择“双向”，点击<确定>按钮，
点击上图的策略名称链接，进入到AV策略的“规则管理”页面，能看到几十条规则，选择对应的规则 就好，或者全选也可以
H3C机密，未经许可，请勿传播
第10页, 共13页


使能对应的规则，使能成功，如下图：
点击上页的<激活>按钮将上述配置激活，如下图：
ACFP client 配置，如下图：
ACFP 联动策略配置，如下图：
完成以上操作后，为了保证IPS 设备重启后配置不丢失，需要对上述配置进行配置保存操作。

在导航栏中进入选择“系统管理>设备管理>配置维护”，在“保存当前配置”页签中点击<保存>按钮并确认。

完成以上操作以后，IPS 插卡防病毒功能已配置成功，接下来就是验证。

当外网向内网有病毒传送时，IPS 设备会对其进行阻断并上报病毒日志。

在“日志管理>病毒日志>最近日志”如下图：
4. 【结束语】
有关于IPS 病毒防护典型配置操作步骤，经过相关技术人员的整理，现已整理完成。

敬请阅读。

H3C 公司将继续积极配合贵单位的工作，同时也希望贵单位能够对我们今后的工作继续提出更多的宝贵意见，以帮助我们改进管理、提升技术水平，使双方的良好的合作关系继续发展下去！
保密承诺：本次服务中获取客户的保密信息仅用于H3C公司向客户交付涉及H3C解决方案与产品服务（网络规划、设计、实施、运维、优化）。

未经客户同意，H3C公司承诺对保密信息不用于其他与客户服务无关的用途，不向任何与客户服务无关的第三方披露。

杭州华三通信技术有限公司
Hangzhou H3C Technologies Co., Ltd
2012-10-22。